Как правильно настроить роутинг openvpn?

Question

[Андрей]

День добрый, никак не могу победить роутинг сетей в опенвпн.

Примерная топология сети выглядит так


Проблема в следующем:
Клиент 1 подключается и видит сеть 10.8.0.Х и 192.168.0.Х. можно спокойно пинговать компьютеры.
Клиент 2 подключается и видит только опенвпн сервер по адресу 10.8.0.1 и 192.168.0.55, все.
Клиент 1 пингует Клиент 2. Клиент 2 не пингует Клиент 1
Также на обоих клиентах отваливается глобальный интернет при подключении к впн. Пинг не идет ни на google.com ни на 8.8.8.8.

конфиг клиентов одинаковый:

client
dev tun
proto tcp
remote 192.168.0.55 449 (у Клиент 1 тут естественно внешний ип)
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
auth SHA512
cipher AES-256-CBC
ignore-unknown-option block-outside-dns
block-outside-dns
verb 3
"сертификаты"

конфиг сервера

local 192.168.0.55
dev tun
port 449
proto tcp
ca ca.crt
cert server.crt
key server.key
dh dh.pem
server 10.8.0.0 255.255.255.0
route 10.8.0.0 255.255.255.0
;push "dhcp-option DNS 8.8.8.8"
;push "dhcp-option DNS 8.8.4.4"
push "route 10.8.0.0 255.255.255.0"
push "route 192.168.0.0 255.255.255.0"
push "route 192.168.1.0 255.255.255.0"
push "redirect-gateway def1"
push "dhcp-option DNS 192.168.0.1"
push "topology subnet"
topology subnet
auth SHA512
tls-crypt tc.key
crl-verify crl.pem
client-config-dir /etc/openvpn/ccd
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
status-version 3
log-append /var/log/openvpn/openvpn-server.log
verb 3

iptables -S

-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.8.0.0/24 -j ACCEPT

Как сделать так что бы не пропадал интернет при подключении к впн и Клиент 2 нормально видел Клиента 1?

Comments

[Drno]

Интернет - добавить в конфиг клиента redirect-gateway def1 bypass-dhcp

по остальному - включить nat в ядре на сервере, далее в iptables включить masquerade для интернет интерфейса и интерфейса опенвпн

[Андрей]

Drno, redirect-gateway def1 bypass-dhcp добавил, не помогло

буду рад более подробным обяснениям насчет ната и айпитейблс

[ValdikSS]

Ваша топология непонятна, и полагаю, что неточность рисунка вызвана непониманием устройства сети.
Если исходить из предположения, что 10.8.0.Х — сеть VPN-интерфейса, а 192.168.0.Х — сеть устройств, подключённых к роутеру, а задача в том, чтобы «клиент 2» имел доступ к сеть 10.8.0.Х, то варианта два (на выбор):

1. Добавить маршрут до 10.8.0.0/24 через 192.168.0.55 на роутер
   
2. Добавить маршрут до 10.8.0.0/24 через 192.168.0.55 на «клиент 2» (не обязательно вручную, можно средствами DHCP option 121/249 роутера).
   

Также на обоих клиентах отваливается глобальный интернет при подключении к впн. Пинг не идет ни на google.com ни на 8.8.8.8.

Уберите push "redirect-gateway def1" из конфигурационного файла.

Также непонятно, что за сеть 192.168.1.x и почему клиенту VPN сообщается до неё маршрут. Это какой-то дополнительный и уже настроенный туннель между роутером и «клиентом 1»?

Для отладки маршрута используйте ip get, а для проверки прохождения пакетов и их заголовков — tcpdump.

[Drno]

Андрей, то что я указал для клиента - переадресовывет весь трафик внутрь тунеля
т.к. Вы не включили NAT на севере - то сервер этот трафик не пропустит

ядро -
echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf
sysctl -p

ipbtales - замените на свои интерфейсы
iptables -t nat -A POSTROUTING -o ens4 -j MASQUERADE;
iptables -t nat -A POSTROUTING -o ovpn1 -j MASQUERADE;

эти команды разрешат серверу пропускать трафик ВПН в обе стороны и выступать в роли шлюза

[Андрей]

ValdikSS, да, топологию нарисовал в лучших традициях. постараюсь обяснить словами, Клиент 2 и сервер находятся в одной локальной сети, Клиент 1 подключается извне через интеренет, там внешний ип "серый" поэтому и обозначил его локальным ип.
10.8.0.Х- сеть впн, 192.198.0.Х- локальная сеть в которой присутствуют как сервер овпн так и Клиент 2. 192.168.1.Х- сеть в которой живет Клиент 1, отдельная сеть, никаких настроеных маршрутов туда нет, какраз и нужно что бы Клиент 2 увидел сеть в которой живет Клиент 1.

Уберал push "redirect-gateway def1" из настроек сервера, все так же нет интеренета при подключении к впн

[ValdikSS]

Андрей, Правильно ли я понимаю, что клиент 1 это роутер, в сеть которого нужно получить доступ из сети клиента 2?
Тогда в дополнение к предыдущим советам нужно еще:

1. Добавить маршрут до 192.168.1.0/24 на роутере или всех компьютерах сети «клиент 2»
   
2. На OpenVPN-сервере настроить client-config-dir, в конфигурационный ccd-файл клиента 1 добавить: iroute 192.168.1.0 255.255.255.0
   
3. Из настроек OpenVPN-сервера убрать push "route 192.168.1.0 255.255.255.0", добавить route 192.168.1.0 255.255.255.0
   

Если Клиент 1 — не роутер, а какой-то компьютер за необозначенным роутером, обслуживающим сеть «клиента 1», компьютеры которой также должны коммуницировать с сетями за VPN, то тогда и на необозначенный роутер нужно добавить соответствующие маршруты через «клиента 1», либо добавить их на все компьютеры сети, так же, как описано выше для сети «клиента 2».

Обратите внимание, что многопользовательские L3-туннели (в т.ч. OpenVPN TUN, WireGuard) не позволяют указывать IP-адрес, через который происходит маршрутизация (ip route … via 10.2.0.100) — эта опция требует L2-связности. Многопользовательские L3-серверы требуют конфигурации внутренней маршрутизации (опция iroute в OpenVPN, AllowedIPs в WireGuard), поэтому новичку для связи серверов/маршрутизаторов лучше использовать простые Peer-to-peer L3-туннели без собственных подсистем маршрутизации и проверок адреса источника: IPIP, GRE, L2TP, либо L2-туннели (но это может добавить проблем с маршрутизацией и безопасностью).

[Андрей]

Drno,
в данній момент в конфиге клиента есть redirect-gateway def1 bypass-dhcp. в конфиге сервера есть push "redirect-gateway def1".
нат включен

root@:~# echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf
root@:~# sysctl -p
net.ipv4.ip_forward = 1

в иптейблс добавлены (enp2s0- интернет, tun0- тунель)

root@:~# iptables -t nat -A POSTROUTING -o enp2s0 -j MASQUERADE
root@:~# iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
root@:~# iptables-save

и после подключения Клиента 1 к впн пинг на 8.8.8.8 отсутствует, интернет тоже

[ValdikSS]

Андрей, в вашем случае NAT неуместен, он только добавит неразберихи. redirect-gateway вам тоже не нужен — он для маршрутизации всего трафика через VPN, а не для объедения сетей.

[Андрей]

ValdikSS, спасибо за советы.
Не совсем, Клиент 1 не роутер, просто компьютер с опенвпн конект за необозначеным роутером, на который(роутер) у меня доступа нет. компютеры сети с Клиентом 1 мне не интересны, нужно получить доступ только к конткретному Клиенту 1(компютеру).

1. Добавить маршрут до 192.168.1.0/24 на роутере или всех компьютерах сети «клиент 2»

это и пытался сделать добавив в настройки сервера
"push "route 192.168.1.0 255.255.255.0""

[ValdikSS]

Андрей, тогда я не понимаю вашу фразу:

какраз и нужно что бы Клиент 2 увидел сеть в которой живет Клиент 1.

Вы хотите из сети «клиента 2» обращаться к «клиенту 1», но по его IP-адресу в сети 192.168.1.0/24, а не VPN-сети 10.8.0.0/24? В таком случае добавьте /32-маршрут до IP-адреса клиента 1 на компьютеры сети клиента 2, скорректировав из второго сообщения. iroute вам добавлять также не потребуется.

[ValdikSS]

Андрей,

это и пытался сделать добавив в настройки сервера
"push "route 192.168.1.0 255.255.255.0""

Эта команда равносильна добавлению route 192.168.1.0 255.255.255.0 в конфигурационный файл VPN-клиента, т.е. заставит клента 1 «искать» сеть 192.168.1.0/24 в VPN-туннеле, хотя эта сеть у него уже на физическом интерфейсе. Вам это не нужно.

[Андрей]

ValdikSS, не совсем точно выразился, думал проще увидеть всю сеть нежели 1 компютер.
главная задача что бы компютер "Клиент 2" видел компютер "Клиент 1" в сети впн.
а пока что Клиент 1 видит Клиент 2, но при этом Клиент 2 не видит Клиент 1.

Клиент 1 и Клиент 2 это компютеры, не сети.

[ValdikSS]

Андрей,

а пока что Клиент 1 видит Клиент 2, но при этом Клиент 2 не видит Клиент 1.

Это потому что вы настроили NAT, но не добавили маршрут до клиента 1 на клиент 2.

Откатитесь до конфигурации, описанной в изначальном посте (без NAT), уберите redirect-gateway, уберите block-outside-dns, уберите dhcp-option DNS, уберите "push "route 192.168.1.0 255.255.255.0"", и добавьте маршрут до IP-адреса клиента 1 на роутер через 192.168.0.55, либо добавьте статический маршрут в настройки DHCP роутера до IP-адреса клиента 1 через 192.168.0.55 (и запросите обновление IP-адреса на клиенте 2), либо просто вручную на клиенте 2 добавьте такой статический маршрут средствами ОС.
После чего обращайтесь к клиенту 1 с клиента 2 по его VPN-адресу 10.8.0.2 (скорее всего), а к клиенту 2 с клиента 1 по адресу в локальной сети (192.168.0.x).

[Андрей]

ValdikSS, спасибо за разяснения, завтра буду пробовать.
хотелось бы кончно сделать статический маршрут средствами впн сервера раз уж я всеравно подключаюсь к нему и Клиентом 2 и клиентом 1 но ладно.

[ValdikSS]

Андрей, вы подключаетесь к VPN-серверу с клиента 2? Почему раньше не сказали. Тогда вам ничего дополнительно в плане маршрутов делать не нужно.

[Андрей]

ValdikSS, правильно ли я понимаю что мне нужно откатится до изначальных настроек, тоесть убрать нат, и убрать

уберите redirect-gateway, уберите block-outside-dns, уберите dhcp-option DNS, уберите "push "route 192.168.1.0 255.255.255.0"",

и все заработает?

[ValdikSS]

Андрей, Да. Если вам нужна только передача данных между клиентом 1 VPN-сервера и клиентом 2 VPN-сервера, то не нужны никакие route и push route ни в одном из конфигурационных файлов, не нужен NAT, не нужны настройки DNS. Даже iptables и forwarding не нужен, если добавите client-to-client в OpenVPN-конфигурацию на сервер.

[Drno]

Андрей, про iptables-save я ничего не говорил.
Не может не быть пинга в инет, значит Вы ошиблись где то в командах

Редирект только в 1 месте должен быть

[Андрей]

Drno, насколько я понял iptables-save сохраняет конфиг что бы он при перезагрузке не сбросился

[Drno]

Андрей, в iptables-save немного по другому пишутся правила. и порядок важен...

[Андрей]

Drno, да, я уже понял что чтото сломал.
в данный момент вижу вот такое

root@:~# iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.8.0.0/24 -j ACCEPT
root@:~# iptables -t nat -A POSTROUTING -o enp2s0 -j MASQUERADE
root@:~# iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
root@:~# iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.8.0.0/24 -j ACCEPT